بیش از ۴۰۰ بسته Arch Linux AUR برای استقرار اینفواستیلر و روت‌کیت eBPF هک شدند

مهاجمان این هفته بیش از ۴۰۰ بسته نرم‌افزاری در مخزن کاربری آرچ (AUR) را تصاحب کرده و اسکریپت‌های ساخت آن‌ها را برای نصب یک بدافزار سرقت اطلاعات (credential stealer) بازنویسی کردند. این حمله که شرکت Sonatype آن را «Atomic Arch» نام‌گذاری کرده، بسته‌های رها شده‌ای را هدف قرار داد که نگهدارندگانشان آن‌ها را ترک کرده بودند. مهاجمان پس از تصاحب این بسته‌ها، فایل‌های PKGBUILD را ویرایش کردند تا در حین ساخت، بسته مخرب npm با نام atomic-lockfile نصب شود. بار مخرب (payload) که یک فایل اجرایی لینوکس به نام deps است، اطلاعات حساسی از جمله کوکی‌ها و توکن‌های مرورگرهای مبتنی بر Chromium، نشست‌های اپلیکیشن‌هایی مانند Slack و Discord، کلیدهای SSH، توکن‌های GitHub و npm، و اطلاعات Docker را سرقت می‌کند. داده‌های دزدیده‌شده از طریق HTTP به سرویس temp.sh ارسال می‌شوند و فرمان‌دهی از طریق یک سرویس پیازی Tor (Tor onion service) انجام می‌گیرد. در صورت دسترسی root، بدافزار یک روت‌کیت eBPF نیز بارگذاری می‌کند تا فرآیندهای خود را پنهان سازد.

به کاربران آرچ لینوکس توصیه اکید می‌شود که هر بسته AUR نصب یا به‌روزرسانی‌شده از ۲۱ خرداد (۱۱ ژوئن) به بعد را در برابر فهرست‌های منتشرشده بررسی کنند. حذف بسته آلوده کافی نیست؛ در صورتی که بار مخرب اجرا شده باشد، باید تمام اطلاعات اعتباری شامل نشست‌های مرورگر، کلیدهای SSH، توکن‌های GitHub و npm، و اطلاعات ابری تغییر داده شوند. همچنین باید سرویس‌های systemd ناشناخته، فایل‌های مشکوک در مسیر /var/lib/ و نگاشت‌های BPF با نام‌های hidden_pids، hidden_names و hidden_inodes بررسی شوند. یک موج دوم حمله نیز با استفاده از دستور bun install js-digest شناسایی شده است. Sonatype این کمپین را با شناسه Sonatype-2026-003775 و امتیاز CVSS 8.7 ردیابی می‌کند و فهرست بسته‌های آسیب‌دیده همچنان ناقص است.